Turvallisuustutkija on murtanut Euroopan unionin iänvarmistussovelluksen jo kolmannen kerran huhtikuun jälkeen, ja tällä kertaa havaintoon liittyvä varoitus on häiritsevämpi kuin kaksi aiempaa. TechRadarin raportoinnin mukaan toistuvien testien takana oleva asiantuntija sanoo, ettei sovelluksen ongelmissa ole enää kyse pelkästään iän todistamisesta. "Seuraava askel tulee olemaan henkilöllisyytesi todistaminen", tutkija varoitti – lause, joka muuttaa koko keskustelun EU:n iänvarmistussovelluksen murtamisesta kiusallisesta bugitarinasta aidoksi identiteettiturvallisuuden huolenaiheeksi.

Minkä tutkija mursi – kolme kertaa peräkkäin

EU:n iänvarmistussovellus rakennettiin, jotta ihmiset voisivat vahvistaa täyttävänsä vähimmäisiän luovuttamatta tarpeettomia henkilötietoja jokaiselle niitä pyytävälle verkkosivustolle tai alustalle. Näin ainakin luvattiin. Julkaisunsa jälkeen sama turvallisuustutkija on löytänyt tapoja murtaa tuo lupaus kolmella eri kerralla. Joka kerta puutteet ovat nakertaneet sitä keskeistä väitettä, jonka mukaan sovellus on yksityisyyttä säilyttävä vaihtoehto passin skannauksen tai ajokorttikuvan lataamiselle suoraan verkkosivustolle.

Yksittäisten haavoittuvuuksien yksityiskohdat merkitsevät vähemmän kuin niiden muodostama kaava. Sovellus, joka on suunniteltu ja markkinoitu luotettavana, kitkattomana varmennuskerroksena sadoille miljoonille EU-kansalaisille, on nyt epäonnistunut riippumattomassa tarkastelussa kolme erillistä kertaa muutamassa kuukaudessa. Kyse ei ole yksittäisestä toteutusvirheestä, vaan toistuvasta toimintamallista.

Miksi iänvarmistussovellukset ovat suurempi identiteettikohde kuin miltä ne näyttävät

On helppoa ajatella iän tarkistamista vähäpätöisenä ohjelmistona. Et ole todistamassa pankkisaldoasi tai sairaushistoriaasi, vaan ainoastaan sen, oletko yli 18-vuotias. Tämä kehystys jättää kuitenkin huomiotta sen, miten nämä järjestelmät on todellisuudessa rakennettu. Voidakseen varmentaa iän luotettavasti sovelluksen on yleensä ankkuroiduttava johonkin viralliseen henkilöllisyysasiakirjaan tai valtion ylläpitämään tietolähteeseen. Tämä tarkoittaa, että ikäportin taustalla olevalla infrastruktuurilla on usein suora yhteys juuri sellaiseen henkilötietoon, jota hyökkääjät eniten haluavat.

Tämä on tutkijan varoituksen ydin. Jos iänvarmistus on se kiilakysymys, joka totuttaa kansalaiset asentamaan valtioon kytkeytyvän sovelluksen puhelimeensa, seuraava looginen askel sääntelijöille ja alustoille on laajempi henkilöllisyyden todentaminen muita palveluita varten. Jos iänvarmistuskerrosta voidaan manipuloida tai ohittaa tänään, on vain vähän syytä olettaa, että sitä seuraava identiteettikerros olisi luonnostaan turvallisempi. Järjestelmä, joka epäonnistuu yksinkertaisemmassa tehtävässä, ei herätä luottamusta vaikeamman kohdalla.

Tämä huoli ei koske vain EU:ta. Samanlaista jännitettä ilmenee kaikkialla, missä hallitukset vaativat pakollisia ikä- tai henkilöllisyystarkistuksia, aina Kanadan Bill C-34 -lakiehdotuksesta, joka edellyttäisi henkilöllisyystodistusta sosiaaliseen mediaan, Yhdysvaltojen osavaltiotason iänvarmistuslakien tilkkutäkkiin, joka on juuttunut oikeudelliseen limbukseen ennen vuoden 2026 käyttöönottoa. Kaikki nämä pyrkimykset pyytävät käyttäjiä luottamaan siihen, että poliittisen paineen alla nopeasti rakennettu varmennuskerros kestää todellisia hyökkääjiä vastaan.

EU:n yksityisyyslupaukset vastaan tämän sovelluksen todelliset turvallisuusaukot

Kun sovellus esiteltiin, viranomaiset kehystivät sen teknisesti pätevänä ratkaisuna, jonka avulla käyttäjät voivat varmentaa ikänsä paljastamatta henkilöllisyysasiakirjoja kolmansille osapuolille. Toistuvat murrot mutkistavat tätä tarinaa huomattavasti. Yksityisyyden puolestapuhujat ovat jo pitkään esittäneet rakenteellisia huolenaiheita siitä, miten iänvarmistusväitteet kestävät tarkastelua. Kuten EDRi:n neuvonantajan erittely siitä, miksi iänvarmistuksen yksityisyysväitteet eivät pidä paikkaansa osoittaa, kuilu näiden järjestelmien lupausten ja niiden todellisen takaaman välillä on ollut toistuva teema jo kauan ennen tätä viimeisintä murtoa.

Tämä skeptisyys on kääntynyt poliittiseksi toiminnaksi. EU:n kansalaiset ovat Piraattipuolueen tukemana vieneet eteenpäin virallista aloitetta, jolla iänvarmistuksen yksityisyydensuojasta tehtäisiin laillisesti sitovaa pelkän tavoitteellisuuden sijaan – askel, jota käsiteltiin raportissa EU-kansalaiset vaativat sitovaa yksityisyydensuojaa iänvarmistukseen. Tuon kampanjan olemassaolo korostaa yksinkertaista asiaa: tällä hetkellä sovellukseen liitetyt yksityisyystakuut ovat poliittisia sitoumuksia, eivät täytäntöönpanokelpoisia teknisiä faktoja, ja kolme erillistä murtoa muutamassa kuukaudessa tekee tuosta erosta vaikeasti sivuutettavan.

Mitä tämä tarkoittaa sinulle

Jos olet EU:n asukas, joka on asentanut tai harkitsee iänvarmistussovelluksen asentamista, mikään tästä ei tarkoita, että tietosi olisivat varmasti paljastuneet. Se tarkoittaa, että sovelluksen taustalla olevat turvallisuusvakuutukset eivät ole kestäneet johdonmukaisesti ulkopuolisessa testauksessa, ja tämä kannattaa ottaa huomioon siinä, kuinka paljon luotat siihen toistaiseksi.

Käytännössä tämä tarkoittaa varovaisuutta sen suhteen, mitä henkilötietoja liität sovellukseen yli välttämättömän minimin, sovelluksen ja laitteesi ohjelmiston pitämistä ajan tasalla sekä EU:n virallisten tiedotteiden seuraamista kuhunkin paljastettuun haavoittuvuuteen liittyvistä korjauksista. Se tarkoittaa myös sitovien, täytäntöönpanokelpoisten yksityisyyssääntöjen vaatimisen tukemista sen sijaan, että oletettaisiin vapaaehtoisten sitoumusten riittävän, sillä juuri tällainen paine muuttaa lupaavan suunnitelman aidosti luotettavaksi.

Laajempi opetus ulottuu tätä yhtä sovellusta pidemmälle. Kun yhä useammat hallitukset kokeilevat pakollista iän ja henkilöllisyyden todentamista, EU:n kokemuksesta on tulossa hyödyllinen tapaustutkimus siitä, mikä voi mennä pieleen, kun julkaisunopeus ohittaa turvallisuustestauksen.

Käytännön ohjeet:

  • Rajoita mihin tahansa iänvarmistussovellukseen liittämäsi henkilötiedot lakisääteiseen minimiin.
  • Seuraa virallisia korjaustiedotteita ja päivitä sovellus viipymättä, kun korjauksia julkaistaan.
  • Seuraa riippumatonta turvallisuustutkimusta sen sijaan, että luottaisit pelkästään virallisiin "teknisesti valmis" -väitteisiin.
  • Tue vaatimuksia laillisesti sitovista yksityisyydensuojakeinoista iänvarmistusjärjestelmissä, ei vain vapaaehtoisista lupauksista.
  • Käsittele kaikkia identiteetti- tai ikätietoja käsitteleviä sovelluksia samalla varovaisuudella kuin talous- tai terveyssovelluksia.